La loi 25 s’applique à votre entreprise dès que vous détenez un nom, un courriel ou un numéro de téléphone — autrement dit, à la quasi-totalité des PME québécoises. Pour votre marketing, elle change quatre choses concrètes : vos pixels publicitaires ne peuvent plus se déclencher avant que le visiteur ait consenti, chaque formulaire doit dire à quoi serviront les données demandées, votre politique de confidentialité doit être lisible par un humain, et quelqu’un chez vous doit être nommé responsable. Tout le reste découle d’une seule question : pourquoi gardez-vous cette donnée ?
Ce texte n’est pas un avis juridique — pour ça, parlez à un avocat. C’est la lecture d’un praticien du marketing : ce qui change dans vos outils, vos formulaires et vos campagnes, et dans quel ordre s’en occuper quand on est une PME sans service juridique. Si vous partez de zéro, commencez par regarder où la conformité touche réellement votre acquisition plutôt que par télécharger un gabarit de politique de confidentialité.
Est-ce que la loi 25 s’applique à votre entreprise ?
Oui, presque certainement. La loi vise toute personne qui exploite une entreprise au Québec. Il n’y a pas de seuil de taille, pas de seuil de chiffre d’affaires, pas d’exemption pour les petites structures. Un entrepreneur général de huit employés est visé au même titre qu’une chaîne de magasins. Les organismes sans but lucratif aussi.
Deux malentendus fréquents méritent d’être levés. Le premier : « on est en B2B, on ne collecte pas de données personnelles ». Faux. Marie Tremblay, directrice des achats, reste une personne physique ; son courriel professionnel, son numéro de cellulaire et les notes que votre vendeur a prises sur elle sont des renseignements personnels. Le second : « nos serveurs sont aux États-Unis, donc on n’est pas concernés ». Faux aussi. C’est le lieu où vous exploitez votre entreprise qui déclenche la loi, pas celui où dort la base de données.
Trois dates, toutes derrière vous
La loi est entrée en vigueur par tranches. Septembre 2022 a apporté la désignation d’un responsable, le registre des incidents de confidentialité et l’obligation de déclarer les fuites. Septembre 2023 a apporté le gros morceau : les nouvelles règles de consentement, la transparence, la politique de confidentialité obligatoire et l’encadrement du profilage et de la géolocalisation. Septembre 2024 a complété le tableau avec le droit à la portabilité des données.
Conséquence pratique : il n’y a plus de période de transition à invoquer. Toutes les dispositions sont applicables, et la Commission d’accès à l’information, qui a d’abord adopté une posture pédagogique, rend maintenant des décisions. Si votre site tourne encore avec le bandeau de témoins installé en 2021, vous avez deux ans de retard.
Ce qu’un consentement valide veut dire
La loi exige un consentement manifeste, libre, éclairé, donné à des fins spécifiques, et demandé séparément pour chaque finalité. Traduit en gestes concrets, ça élimine quatre pratiques encore très répandues. Une case déjà cochée n’est pas un consentement : la personne doit poser un geste actif. Un consentement enterré au paragraphe 14 des conditions d’utilisation n’est pas éclairé. Un seul « j’accepte » qui couvre à la fois la demande de soumission, l’infolettre et le partage avec des partenaires n’est pas spécifique — il faut trois demandes distinctes. Et un bandeau de témoins qui n’offre que le bouton « J’accepte » ne laisse pas le choix, donc n’est pas libre.
Le consentement n’est pas non plus éternel : il vaut pour la finalité annoncée, et pour la durée nécessaire à cette finalité. Si vous avez recueilli un courriel pour envoyer une soumission de toiture en 2019, ce n’est pas un consentement à recevoir votre infolettre en 2026. Ce point précis mérite un traitement à part : voyez comment obtenir un consentement valide pour votre infolettre.
Un bandeau de témoins qui n’offre que « J’accepte » n’est pas un consentement. C’est une porte sans poignée.
Vos pixels et votre analytique : le vrai chantier
C’est ici que la loi coûte quelque chose. Le pixel Meta, les balises de remarketing Google, les outils d’enregistrement de session, l’analytique comportementale : tous collectent des renseignements permettant d’identifier ou de suivre une personne, et aucun ne doit se déclencher avant que le visiteur ait dit oui. Un bandeau purement informatif, du type « en poursuivant votre navigation, vous acceptez », ne suffit plus. Il faut un mécanisme qui bloque réellement le chargement des scripts tant que le choix n’est pas fait, et qui permet de refuser aussi facilement que d’accepter.
L’effet sur vos chiffres est immédiat et il faut s’y préparer. Une part significative des visiteurs refuse les témoins non essentiels — souvent le quart, parfois davantage. Vos audiences de remarketing rétrécissent, et vos conversions sont sous-déclarées dans les plateformes publicitaires. Ce n’est pas une baisse de performance, c’est une baisse de mesure, et la confondre avec la première mène à couper des campagnes qui fonctionnent. Recalibrez vos repères au lieu de comparer à l’avant.
La bonne réponse technique n’est pas de contourner le bandeau, c’est de récupérer légalement le signal disponible : le mode consentement de Google, le suivi côté serveur et l’API de conversions de Meta reconstituent une partie de l’attribution à partir des visiteurs qui ont accepté. C’est aussi le moment de vérifier que votre budget est réparti selon des données que vous mesurez encore correctement — nos repères sur l’arbitrage entre Google Ads et Meta Ads tiennent, à condition de savoir ce que vos chiffres ne voient plus.
Vos formulaires et vos pages de destination
Chaque formulaire doit indiquer, au moment de la collecte, à quoi serviront les renseignements, qui y aura accès et comment la personne peut retirer son consentement. Une phrase sous le bouton d’envoi suffit dans la plupart des cas : elle doit être lisible, pas cachée derrière un lien en gris six points. Et si vous profitez du formulaire de soumission pour inscrire la personne à votre infolettre, ça se demande séparément, avec une case vide.
Les trois obligations qui se règlent une fois
Certaines exigences ne demandent pas d’entretien : on les met en place et on n’y revient qu’en cas de changement. D’abord, désigner un responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui détient la plus haute autorité dans l’entreprise — donc le propriétaire, tant que personne d’autre n’est nommé. Le rôle peut être délégué à un employé ou à un externe, et les coordonnées doivent être publiées sur le site.
Ensuite, publier une politique de confidentialité en termes simples et clairs : ce que vous collectez, pourquoi, avec qui vous le partagez, combien de temps vous le gardez, et comment exercer ses droits. Un gabarit américain traduit ne passe pas le test de la clarté. Enfin, tenir un registre des incidents de confidentialité et savoir quoi faire quand il s’en produit un : évaluer le risque, aviser la Commission d’accès à l’information et les personnes touchées si le risque de préjudice est sérieux. Cette procédure s’écrit à froid, pas le jour de la fuite.
Et vos données qui vivent chez quelqu’un d’autre
Votre CRM, votre plateforme d’infolettre, votre outil de prise de rendez-vous et votre agence détiennent vos données clients. Confier les données ne transfère pas la responsabilité : c’est toujours vous qui répondez de leur protection, de leur durée de conservation et de leur destruction. Le tri se fait champ par champ, et c’est un exercice plus court qu’on ne le craint : voyez quelles données vous pouvez garder dans votre CRM et lesquelles n’ont plus de raison d’y être.
Ce que vous risquez vraiment
Les chiffres qui circulent sont spectaculaires : la Commission d’accès à l’information peut imposer des sanctions administratives allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et des poursuites pénales peuvent atteindre 25 millions ou 4 %. Soyons honnêtes : ces plafonds ne décrivent pas ce qui attend une PME de douze employés. Ils décrivent le haut du barème, réservé aux manquements graves ou répétés.
Le risque réaliste est ailleurs, et il est à deux têtes. Une plainte d’un ancien client ou d’un ex-employé déclenche une enquête, et une enquête se répond avec de la documentation que vous n’avez pas — des semaines de travail interne pour reconstituer ce qui aurait pris trois heures à mettre en place. Et il y a le risque commercial, plus immédiat : les donneurs d’ordres, les institutions et les grandes entreprises demandent maintenant des garanties de conformité dans leurs appels d’offres. Ne pas pouvoir répondre vous sort de la liste avant même la discussion de prix.
Par où commencer, dans l’ordre
Cinq chantiers, du plus exposé au moins urgent. Un : le bandeau de témoins, parce qu’il est public, visible par n’importe qui, et qu’il bloque ou ne bloque pas réellement vos pixels — c’est vérifiable en trente secondes. Deux : les formulaires, avec la mention de finalité et la séparation des consentements. Trois : la politique de confidentialité et la désignation du responsable, qui se règlent en une demi-journée. Quatre : le tri du CRM et des listes d’envoi. Cinq : le registre des incidents et la procédure à suivre le jour où.
Aucun de ces chantiers n’est technique au point d’exiger un projet. Ce qui coûte, c’est de les faire dans le désordre, ou de les faire deux fois parce que le premier passage a été confié à un gabarit générique. Si vous voulez savoir en quinze minutes lesquels de ces cinq points sont réglés chez vous et lesquels ne le sont pas, réservez l’appel diagnostic : on regarde votre site en direct, et vous repartez avec la liste.